新加坡個資保護法責任指南
新加坡個人資料保護法(Personal Data Protection Act 2012, PDPA)的基本原則之一在於可歸責性(Accountability)之建立，原因在於個資保護的責任歸屬，是組織對個資的持有與控制所為的承諾與責任表示。因此，PDPA第11、12條之法遵責任，組織必須對所持有或控制的個資負責，並且需制定並實施資料保護政策、溝通並告知員工相關政策、及履行PDPA義務所必須施行之流程與作法。於組織責任而言，PDPA雖有強制性義務責任，但應忖量組織內部責任歸屬的措施，而非僅將責任落於遵守法律的程度，組織必須從合於法規的方法轉為基於責任歸屬的方法來管理個人資料。
從而，該指南在政策、人員、流程等領域中透過資料生命週期的循環，確立組織責任歸屬。從落實良好的責任制始於組織領導力的概念出發，設定組織管理高層之職責與調性，繼而規劃處理個資及管理資料風險的方法。並由組織人員治理面向，確立溝通資訊與員工培訓知識與資源。除此之外，也在特定流程設置上，紀錄個人資料流動，了解如何收集、儲存、使用、揭露、歸檔或處理個人資料為流程的首要任務，繼而確認資料保護層面主要的差距與需要改進的領域。再將資料保護實踐於業務流程、系統、商品或服務。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【上午場】通傳產業個資管理機制與資料加值運用座談會
- 【下午場】通傳產業個資管理機制與資料加值運用座談會
- 長照系統相關資服業個資線上宣導說明會
江敔菲
副法律研究員 編譯整理
美國總統喬‧拜登（Joe Biden）於美國時間2022年3月9日簽署「確保數位資產負責任發展」行政命令（Executive Order on Ensuring Responsible Development of Digital Assets）。該行政命令為數位資產（Digital Assets）提供全面性的管制框架。所謂數位資產，係指透過分散式帳本技術以數位形式發行，表彰一定價值，或用於支付、投資、傳輸或交易資金或其等價物之憑證或資產。以下將簡述該行政命令所揭示的政策目標： 對於美國消費者、投資者與企業之權利保護，包含機敏資料的隱私保護等； 為降低金融市場的系統性風險，應建構相關數位資產帶來風險之監管措施； 避免因濫用數位資產所衍生之非法金融與國家安全風險； 透過發展支付創新（payment innovations）與數位資產，以加強美國於全球金融體系與經濟競爭力之領導地位； 強調金融服務提供之公平性，並降低金融創新下產生的負面影響，以促進金融普惠； 關注以負責任的方式促進數位資產的技術發展，包括於技術架構中確保隱私與安全，並減少因加密貨幣挖礦所導致的氣候衝擊（negative climate impacts）與環境污染（environmental pollution）。 為達成上述目標，該行政命令要求政府機關應跨部門合作，並於指定期間提出針對數位資產相關議題之評估報告及政策框架等；於國際方面，該行政命令則宣示將透過G7、G20、FATF、FSB等管道擴大與國際的合作，包括洗錢防制、建構中央銀行數位貨幣（Central Bank Digital Currency，CBDC）開發標準、穩定幣（stablecoin）與跨境資金轉帳與支付系統等議題。 其中值得注意的是，有鑑於已有國家嘗試開發CBDC，此次行政命令也顯示美國正視CBDC於金融市場之趨勢，並要求有關政府部門評估政策之可行性與實施條件等。 雖然本次行政命令並未公布新的法律規範，亦未能從行政命令觀察美國政府目前對數位資產監管所採取的立場，但可顯見美國政府藉由此次行政命令宣示將對數位資產進行全面且縝密的政策規劃。
防疫也須防弊！美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引由於近日頻傳醫院遭受勒索軟體攻擊（ransomware attacks），美國加州檢察總長於2021年8月24日發布官方公告（bulletin）：在加州州法「醫療資訊保密法」（Confidentiality of Medical Information Act, CMIA）與聯邦法「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act of 1996, HIPAA）規範下，蒐集、處理和利用醫療健康資料的醫療照護機構，有採取適當措施與事故通報的義務，以維護醫療健康資料保密性。 針對「採取適當措施」的內容，美國加州檢察總長於本次官方公告中，提出明確指引（guidance）：醫療照護機構須至少採取下列5項防範措施（preventive measures），以避免勒索軟體威脅： 確保所有存取醫療健康資料的作業系統與軟體，均升級至最新版本； 安裝防毒軟體，並維護其運作； 定期為員工舉辦教育訓練，包含教導員工不要點擊可疑網址和防範釣魚電子郵件（phishing email）； 限制員工下載、安裝和運作未經批准的軟體； 維護和定期測試資料備份與救援計畫，以便於事故發生時，控制對資料和系統的影響範圍及程度。 此外，針對「資料外洩事故通報義務」（breach notification obligations），美國加州檢察總長指出：依據「加州民法」（California Civil Code）第1798.82條，擁有或經授權使用含有個人資料的「電腦化資料」（computerized data）的醫療照護機構，於發生，或可合理確信發生，影響超過500位加州居民的資料外洩事故時，即負有將該事故通報檢察總長辦公室的義務。
加拿大交通部提出加拿大自駕系統安全評估文件加拿大交通部（Department of Transport Canada）於2019年1月發布「加拿大自駕系統安全評估（Safety Assessment for Automated Driving Systems in Canada）」文件，該文件將協助加拿大企業評估其發展高級（SAE第三級至第五級）自駕層級車輛之安全性，並可與美國相關政策進行整合。該文件指出，因相關技術尚在發展之中，不適合使用強制性規範進行管制，因此將利用引導性之政策措施來協助相關駕駛系統安全發展。加拿大交通部於文件中指出可用於評估目前自駕車輛研發成果之13種面向，並將其分類為三個領域： 自駕技術能力、設計與驗證：包含檢視車輛設計應屬何種自駕層級與使用目的、操作設計適用範圍、物件及事件偵測與反應、國際標準、測試與驗證等。 以使用者為核心之安全性：包含安全系統、人車界面與控制權的可取得性、駕駛/使用人能力與意識教育、撞擊或系統失靈時的運作等。 網路安全與資料管理：包含管理網路安全風險策略、售後車輛安全功能運作與更新、隱私與個資保障、車輛與政府分享之資訊等。 加拿大交通部鼓勵企業利用該文件提出安全評估報告並向公眾公開以增進消費者意識，另一方面，該安全評估報告內容也可協助加拿大政府發展相關安全政策與規範。
世界衛生組織發布人工智慧於健康領域之監管考量因素文件，期能協助各國有效監管健康領域之人工智慧世界衛生組織（World Health Organization, WHO）於2023年10月19日發布「人工智慧於健康領域之監管考量因素」（Regulatory considerations on artificial intelligence for health）文件，旨在協助各國有效監管健康領域之人工智慧，發揮其潛力同時最大限度地降低風險。本文件以下列六個領域概述健康人工智慧之監管考量因素： （1）文件化與透明度（Documentation and transparency） 開發者應預先規範（pre-specifying）以及明確記錄人工智慧系統（以下簡稱AI系統）之預期醫療目的與開發過程，如AI系統所欲解決之問題，以及資料集之選擇與利用、參考標準、參數、指標、於各開發階段與原始計畫之偏離及更新等事項，並建議以基於風險之方法（Risk-based approach），根據重要性之比例決定文件化之程度、以及AI系統之開發與確效紀錄之保持。 （2）風險管理與AI系統開發生命週期方法（Risk management and AI systems development lifecycle approaches） 開發者應在AI系統生命之所有階段，考慮整體產品生命週期方法（total product lifecycle approach），包括上市前開發管理、上市後監督與變更管理。此外，須考慮採用風險管理方法（risk management approach）來解決與AI系統相關之風險，如網路安全威脅與漏洞（vulnerabilities）、擬合不足（underfitting）、演算法偏差等。 （3）預期用途、分析及臨床確效（Intended use, and analytical and clinical validation） 開發者應考慮提供AI系統預期用途之透明化紀錄，將用於建構AI系統之訓練資料集組成（training dataset composition）之詳細資訊（包括大小、設定與族群、輸入與輸出資料及人口組成等）提供給使用者。此外，可考慮透過一獨立資料集（independent dataset）之外部分析確效（external analytical validation），展示訓練與測試資料以外之效能，並考慮將風險作為臨床確效之分級要求。最後，於AI系統之上市後監督與市場監督階段，可考慮進行一段期間密集之部署後監督（post-deployment monitoring）。 （4）資料品質（Data quality） 開發者應確認可用資料（available data）之品質，是否已足以支援AI系統之開發，且開發者應對AI系統進行嚴格之預發布評估（pre-release evaluations），以確保其不會放大訓練資料、演算法或系統設計其他元素中之偏差與錯誤等問題，且利害關係人還應考慮減輕與健康照護資料有關之品質問題與風險，並繼續努力創建資料生態系統，以促進優質資料來源之共享。 （5）隱私與資料保護（Privacy and data protection） 開發者於AI系統之設計與部署過程中，應考慮隱私與資料保護問題，並留意不同法規之適用範圍及差異，且於開發過程之早期，開發者即應充分瞭解適用之資料保護法規與隱私法規，並應確保開發過程符合或超過相關法規要求。 （6）參與及協作（Engagement and collaboration） 開發者於制定人工智慧創新與部署路線圖之期間，需考慮開發可近用且具有充足資訊之平台，以於適合與適當情況下促進利害關係人間之參與及協作；為加速人工智慧領域實務作法之進化，透過參與及協作來簡化人工智慧監管之監督流程即有必要。